GDPR för webbplatser 2025: en verklighetskontroll

Eller: varför mycket av paniken var onödig och vilka risker som fortfarande spelar roll

Minns du maj 2018? En GDPR-apokalyps verkade vara på väg. Jurister förutspådde vågor av krav, konsulter sålde dyra akutpaket och vartannat nyhetsbrev utropade internets undergång.

Nästan sju år senare är det dags för en ärlig genomgång. Internet finns kvar, de flesta företag också, och rubrikernas miljonböter behöver sättas i sitt sammanhang.

Efter paniken: överraskande siffror

Kan du tänka dig att det nästan inte blir någonting kvar av de fruktade massvarningarna? Enligt Bitkom-undersökningar rapporterar cirka 20 % av företagen minst en dataskyddsöverträdelse inom ett år - men endast en försvinnande liten andel av dessa leder faktiskt till böter.

En analys av publicerade tyska GDPR-böter för 2018 ger ett genomsnittligt bötesbelopp på cirka 8.500 euro - långt ifrån de miljoner som ofta nämns.

Bara för jämförelsens skull:

• Befarade straffar under 2018: upp till 20 miljoner euro (panik!!!)
• Faktisk genomsnittlig straffavgift för små och medelstora företag: 8.500 euro
• Vanligaste påföljden: Varning utan böter

Om man tittar på alla böter som publicerats under de senaste åren är den totala summan i Tyskland följande Cirka 1.600 till 1.700 kända fall.
Och även om antalet orapporterade fall är lite högre:
Vi talar om ett dvärgnummer.
Med över 3,5 miljoner företag är det praktiskt taget ingenting. Du har större chans att bli träffad av blixten.

📊 Tabell - „GDPR-böter i Tyskland 2018-2023

Uppgifterna visar det: Även om GDPR har varit i kraft sedan 2018 färre än 1.700 böter i Tyskland mellan 2018 och 2023 ålagts (se tabell). Med cirka 3,5 miljoner företag innebär detta att endast cirka ett av cirka 2.000 företag har någonsin fått böter.

Vad tillsynsmyndigheterna faktiskt prioriterar

Efter flera års tillsyn är det tydligare vilka problem som verkligen väcker uppmärksamhet. Bilden är mer nyanserad än många varningar från 2018 antydde.

Det här bryr sig myndigheterna verkligen om:

1. Dataläckage och hackerattacker utan förvarning - Den som har ett rapporterbart dataintrång och inte rapporterar det inom 72 timmar har ett verkligt problem.
I myndigheternas verksamhetsrapporter förekommer denna punkt regelbundet som en av de vanligaste orsakerna till böter - särskilt när det gäller stora läckor eller helt uteblivna rapporter.

2. inget svar på begäran om information - Om någon ber om deras uppgifter och du helt enkelt svarar inte, då blir det riktigt obehagligt.
Tyska domstolar utdömer nu regelbundet skadestånd - från några hundra kronor upp till femsiffriga belopp.

Behöver du ett exempel?
10 000 euro för 20 månaders dröjsmål med att lämna information till en före detta anställd (Oldenburgs arbetsdomstol).
Och även små onlinebutiker tar nu ut fyrsiffriga belopp om de helt enkelt inte svarar alls.

3. nyhetsbrev utan samtycke - Den ständiga favoriten sedan 20 år tillbaka.
Detta återkommer gång på gång i samband med utfärdandet av varningar - lika tillförlitligt som ett årsbokslut.
Att skicka utan samtycke 2025 är ungefär lika genialt som Password123.

Det här bryr sig (nästan) ingen om:

• Information om cookie-bannerOm din banner är till vänster eller höger, om knappen „Acceptera alla“ är blå eller grön - det spelar ingen roll. Huvudsaken är att den finns där (om du behöver den).
• Avsaknad av avtal för orderhantering: Teoretiskt obligatoriskt, men i praktiken är det ingen som ber om det. Om inte något annat händer och de tar en närmare titt.
• Föråldrade dataskyddsdeklarationer: Så länge det finns ett sådant bryr sig knappast någon om det är från 2019 eller 2024.

De 3 verkliga riskerna som kan få dig att tappa fotfästet 2025

Risk 1: Google Fonts - Varningsfällan som ingen såg komma

År 2022 var det verkligen skakande: En bedömning av Münchens regionala domstol I klargjort att det är ett GDPR-brott att ladda om Googles typsnitt från amerikanska servrar utan samtycke. Zack - en användare tilldömdes 100 euro i skadestånd, och plötsligt anade några särskilt kreativa varningsbrev nästa affärsmodell. Resultatet blev..: minst hundra tusen bokstäver gick genom landet. Efterfrågan: cirka 170 € „ersättning för sveda och värk“ - så låga att många helt enkelt har betalat för att få sinnesfrid.

Lösningen är fortfarande löjligt enkel idag:

• Hosta teckensnitt lokalt (plugin, 2 klick, klart)
• Eller använd systemteckensnitt direkt
• Det finns också proxy-lösningar, men det är mer på nördnivå

Och nu kommer det viktigaste: Även 2023, 2024 och till och med 2025 Fallen med Google Fonts sysselsätter fortfarande domstolarna. Vissa domar kallar nu undvikandet av varningar för „missbruk av rättigheter“, men tills allt detta slutligen är över kommer rättvisans hjul att fortsätta snurra. Långsamt, men pålitligt.

Risk 2: Google Analytics utan lämplig rättslig grund

Myndigheter i Österrike, Frankrike och Italien har ifrågasatt vissa Google Analytics-konfigurationer och internationella överföringar. En standardinstallation är därför inte automatiskt GDPR-kompatibel.

Vad som verkligen händer:

• Inga massvarningar hittills
• MEN: Myndigheterna tar en noggrann titt på klagomål

Google Analytics utan rättslig grund är inte ett trivialt brott.
Inom EU har det redan förekommit flera Fyra- till femsiffriga bötesbelopp, beroende på allvarlighetsgrad och konfiguration.
Tyskland håller fortfarande en låg profil, men när klagomål inkommer tittar myndigheterna mycket noga på saken.

Vad du kan göra:

1. Google Analytics med samtyckesläge V2 och orderhantering (komplicerat)
2. Byta till EU-alternativ (Matomo, Plausible eller ... ja, du vet)
3. Avstå helt från analys (allvarligt talat, det fungerar också)

Risk 3: Kontaktformulär utan SSL

Ja, vi kommer fortfarande att prata om det år 2025. Kan du föreställa dig att det fortfarande finns webbplatser utan HTTPS? Inte jag heller, men de finns. Och det kommer att bli dyrt.

Verkligt fall från 2024: Hantverksföretag, böter på 3 500 euro för okrypterat kontaktformulär. Motivering: „Oaktsamt äventyrande av personuppgifter“.“

Lösningen:

• Let's Encrypt = gratis SSL-certifikat
• Installation: 5 minuter
• Ursäkter: Noll

Elefanten i rummet: varför cookie-banners fortfarande finns överallt

Trots att nästan ingen straffas för falska cookie-banners har alla dem fortfarande. Varför är det så?

Sanningen:

😧 70 % av alla cookie-banners är tekniskt felaktiga
🤔 Samtyckesgraden är en ynklig 3-8 %
🙄 Och varningar? Det finns praktiskt taget inga

Ändå har alla en av dessa saker på sin sida.
Varför då? FOMO? Rädsla? Eller för att någon myndighet 2018 beslutade att „det är bara så det ska göras“?

Och nu kommer den riktigt spännande punkten:

Du behöver bara en banner om du Icke-väsentliga tjänster användningsområden - dvs. sådant som skickar data till tredje part eller spårar användare.
Dessa inkluderar till exempel:

• Spårningsverktyg med cookies eller fingeravtryck
• Skript för marknadsföring/annonsering (Meta Pixel, Google Ads, etc.)
• Externa resurser som överför personuppgifter
• Inbäddat innehåll som spårar sig självt (YouTube, kartor, sociala flöden)

Om du utelämnar allt detta eller integrerar det på ett integritetsvänligt sätt, kommer du ofta inte längre att behöva bannern.
Ingen extern spårning = inget samtycke = ingen banner = ingen cirkus.

Med moderna analyslösningar utan cookies får du fortfarande alla viktiga insikter - men utan behov av samtycke och utan konverteringsförluster.

Vad har egentligen förändrats under 2025

AI och dataskydd: det nya minfältet

ChatGPT, Claude och Midjourney har blivit vardagsverktyg. Frågan är inte bara om teamet använder AI, utan hur och vilka uppgifter som matas in.

Kan jag ange kunddata i ChatGPT? Skicka inte kunddata utan rättslig grund, avtalsmässiga skydd och en godkänd intern process. Ett Enterprise-avtal löser inte automatiskt alla GDPR-frågor.

Hur är det med AI-genererade texter på min webbplats? Inget GDPR-problem så länge inga personuppgifter fanns i meddelandet.

Nästa våg: Lagen om digitala tjänster (DSA)

Medan alla stirrar på GDPR har DSA varit i kraft sedan februari 2024. Påverkar särskilt plattformar och marknadsplatser, men också:

• Stora onlinebutiker (45 miljoner användare eller fler i EU)
• Sidor i sociala medier
• Forum och gemenskaper

De goda nyheterna: Ingenting förändras för vanliga webbplatser.

Fem kontrollpunkter för webbplatsen

Nu räcker det med teorin. Här är vad du VERKLIGEN behöver kontrollera:

1. SSL-certifikat aktivt? → Om nej, ändra OMEDELBART
2. Finns det en integritetspolicy? → Använd generator, klart
3. Tillgängligt tryck? → högst 2 klick
4. Nyhetsbrev med dubbel opt-in? → Om nej, byt över
5. Google Fonts lokalt? → Om nej, installera plugin

Är allt klart? Grattis, du är säkrare än 90% av alla tyska webbplatser.

Slutsatsen som ska lugna dig

Sju år efter GDPR har internet inte kollapsat och den förutspådda kravvågen blev mindre än väntat. De största böterna har främst gällt stora organisationer och allvarliga överträdelser.

Det som verkligen räknas:

• Få grunderna rätt (SSL, integritetspolicy, juridisk information)
• Undviker de tre verkliga riskerna (teckensnitt, analys, SSL)
• Låt inte varje ny „GDPR-expert“ driva dig till vansinne

Lärdomen från 2018 är inte att ignorera dataskydd, utan att ersätta panik med proportionerlig och faktabaserad efterlevnad.

I nästa del av serien: Varför cookie-banners är den dummaste uppfinningen sedan popup-blockeraren - och hur du kan bli av med dem på laglig väg. Spoiler: Det har att göra med spårning utan kakor, och ja, det fungerar verkligen.